تنفيذ حملة هندسة اجتماعية متقدمة لصالح شركة مالية كبرى مُدرجة ضمن قائمة Fortune 500

نبذة عن عميلنا

شركة مالية مُدرجة ضمن قائمة Fortune 500، يقع مقرها في الولايات المتحدة، وتعمل على نطاق عالمي.

الحاجة إلى حملة تصيّد صوتي مُخصّصة لمراكز اتصال الخدمات المصرفية والمالية والتأمين

نظرًا إلى تعامل شركة العميل مع كميات كبيرة من بيانات العملاء الحساسة، بما يشمل المعلومات المالية وبيانات التعريف الشخصية، كان من الضروري تطبيق تدابير أمنية صارمة لحماية الأنظمة وضمان سلامة البيانات وسريتها. ويُجري العميل بصورة استباقية تقييمات دورية للأمن السيبراني، وتدريبات على الهندسة الاجتماعية، وحملات تصيّد تستهدف موظفيه في مختلف الإدارات.

في هذه المرة، أراد العميل التحقق من مستوى الوعي الأمني لدى موظفي مراكز الاتصال في مكاتبه بالولايات المتحدة وآسيا والاتحاد الأوروبي. وبفضل سجل ساينس سوفت المثبت في محاكاة هجمات الهندسة الاجتماعية، بما يشمل اختبارات التصيّد الصوتي والتصيّد الإلكتروني لقطاع الخدمات المصرفية والمالية والتأمين، اختار العميل الاستعانة بفريقنا لتنفيذ هذه المبادرة.

الاختبار الشامل للهندسة الاجتماعية لمركز اتصال شركة الخدمات المالية

صمّم فريق الأمن السيبراني في ساينس سوفت حملة هندسة اجتماعية لتحقيق الأهداف التالية:

• تقييم مدى قدرة موظفي مركز الاتصال على اكتشاف تهديدات الهندسة الاجتماعية والاستجابة لها ضمن سيناريوهات هجوم واقعية.
• تقييم مدى التزام موظفي مركز الاتصال بإجراءات التحقق من الهوية المعتمدة لدى العميل عند التحقق من هويات العملاء.
• تجنّب تنبيه موظفي مركز الاتصال إلى التقييم الجاري، وذلك لقياس مستويات يقظتهم الفعلية.
• ضمان ألا يؤدي التقييم إلى تعطيل تفاعلات العملاء الحقيقية أو كشف أي بيانات حساسة خاصة بالعملاء لفريق الاختبار.
• تحديد الثغرات في التدابير الأمنية الحالية التي يمكن استغلالها من خلال التصيّد الإلكتروني والتصيّد الصوتي.
• تقديم توصيات بخطوات عملية لتعزيز دفاعات العميل ضد هجمات الهندسة الاجتماعية.
• تقديم تقرير شامل يوضح منهجية الاختبار، والنتائج، واستراتيجيات الحد من المخاطر الموصى بها.

محاكاة هجمات التصيّد الصوتي

لتقييم قدرة مركز الاتصال على الصمود أمام هجمات التصيّد الصوتي، صمّم فريق ساينس سوفت 4 سيناريوهات للتصيّد الصوتي. ولجعل السيناريوهات أكثر واقعية ومصداقية، استخدم الفريق معلومات متاحة للعامة عن الشركة، مثل أسماء الموظفين، كما استخدم استفسارات شائعة في القطاع الذي تعمل فيه شركة العميل. فيما يلي السيناريوهات ونتائج كل منها:

• انتحال صفة موظفي دعم Microsoft: يختبر هذا السيناريو مدى قدرة موظفي مركز الاتصال على اكتشاف مكالمات الدعم التقني التي تبدو مشروعة وتصعيدها، عندما تطلب معلومات عن الأجهزة وحساب Microsoft.
• انتحال صفة عملاء نسوا بيانات تسجيل الدخول أو البريد الإلكتروني: يقيّم هذا السيناريو ما إذا كان موظفو مركز الاتصال يتبعون البروتوكول من خلال عدم الإفصاح عن صحة عناوين البريد الإلكتروني المقدمة من متصل لم يتم التحقق من هويته. وإلا فقد تُستخدم العناوين الصحيحة المكشوفة في محاولات تصيّد محتملة.
• طلب الوصول إلى لوحات المعلومات المالية الخاصة بالعميل أو معلومات متعلقة بالحسابات: يتحقق هذا السيناريو من رفض الموظفين الإفصاح عن أي تفاصيل دون التحقق المناسب عند مطالبتهم بالكشف عن معلومات حساسة تخص العملاء.
• طلب إعادة تعيين كلمة المرور أو معرّف المستخدم: يختبر هذا السيناريو ما إذا كان الموظفون يرفضون مساعدة المتصل، أي مختبر ساينس سوفت، دون التحقق الكامل من هويته.

خلال محاكاة هجمات التصيّد الصوتي التي استمرت 3 أشهر، أجرى فريق ساينس سوفت نحو 150 مكالمة مع موظفي مراكز الاتصال في الولايات المتحدة وآسيا والاتحاد الأوروبي. واستخدم فريقنا تقنية الاتصال الصوتي عبر بروتوكول الإنترنت (VoIP)، وبدّل أرقام الهواتف، واستخدم نوافذ زمنية مختلفة لتجنب رصدهم.

محاكاة هجمات التصيّد الإلكتروني

إلى جانب اختبار التصيّد الصوتي، أرسل فريق ساينس سوفت رسائل بريد إلكتروني تحتوي على روابط وهمية إلى نحو 200 عنوان بريد إلكتروني وفقًا لسيناريوهات تصيّد مخصصة، شملت ما يلي:

• إشعارات وهمية من خدمات Microsoft: في حين أن انتحال صفة خدمة رسمية يهدف إلى استغلال ثقة المستخدم، يجب على الموظفين أن يظلوا يقظين دائمًا، وأن يتعرّفوا على البريد الإلكتروني باعتباره مشبوهًا، وأن يبلغوا قسم تقنية المعلومات عنه.
• رسائل بريد إلكتروني احتيالية متنكرة في صورة بطاقة هدايا بمناسبة العطلات: يعتمد هذا السيناريو البسيط والفعّال في الوقت نفسه على التفاعل العاطفي لزيادة النقرات على الروابط وجذب الضحايا إلى مشاركة بياناتهم الشخصية. كما يُقيّم قدرة الموظفين على كشف أساليب التلاعب، والبقاء حذرين، وحماية أنفسهم من هجمات لاحقة محتملة.

بناءً على نتائج اختبارات الهندسة الاجتماعية، أعدت ساينس سوفت برنامج تدريب على الوعي الأمني لموظفي العميل. وبدلًا من تقديم توصيات تدريبية عامة، صُمِّم البرنامج خِصيصًا لمعالجة نقاط الضعف الأمنية المحددة التي كشفها الاختبار.

إعداد التقارير

كان العميل مشاركًا بفاعلية طوال العملية؛ ففي كل أسبوع، كان فريق ساينس سوفت يشارك رؤى الاختبارات من خلال عروض تقديمية وتسجيلات للمكالمات، تضمّنت صوت المختبر فقط وفقًا لاتفاقية الخصوصية. كما شارك العميل في مراجعة النتائج وتحسين استراتيجية الاختبار حسب الحاجة.

بعد الانتهاء من اختبارات التصيّد الصوتي والتصيّد الإلكتروني، قدّمت ساينس سوفت للعميل تقريرًا شاملًا يوثِّق أساليب الاختبار المستخدمة، والسيناريوهات، والثغرات المحددة، والمخاطر الأمنية المرتبطة بها.

كشف كلا التقييمين أن حتى الموظفين المدرّبين قد يقعون ضحية لهجمات هندسة اجتماعية متقدمة. وللحد من هذه المخاطر، قدّمت ساينس سوفت توصيات عملية بتدابير التخفيف التالية ضمن التقرير:

• تدريب الموظفين وفقًا للبرنامج المخصص، لمعالجة الثغرات المكتشفة ورفع مستوى الوعي الأمني.
• إجراء اختبارات متقدمة أخرى للتصيّد الإلكتروني والتصيّد الصوتي، لتقييم مدى نجاح التدريب وفعالية إجراءات الاستجابة للحوادث بعد تحسينها.
• تدقيق عمليات التحقق والمصادقة وتحديثها وتطبيقها بصرامة، لمنع الإفصاح عن المعلومات الحساسة لجهات غير مصرح لها.
• إعداد أدلة استجابة للحوادث تحدد عملية واضحة للتعامل مع محاولات التصيّد الإلكتروني أو التصيّد الصوتي المُبلّغ عنها، وتتضمن إرشادات لتوعية الموظفين المتأثرين.
• تطبيق ضوابط أمنية قوية مثل التصفية المتقدمة لرسائل البريد الإلكتروني، ومصادقة النطاقات (SPF وDKIM وDMARC)، وأدوات التحقق من هوية المتصل، والمصادقة متعددة العوامل، وكشف التهديدات بالذكاء الاصطناعي.

اختبارات الهندسة الاجتماعية تكشف فجوات في الوعي الأمني لدى موظفي مركز اتصال شركة الخدمات المالية

نتيجةً لاستعانة العميل بساينس سوفت لإجراء اختبارات التصيّد الصوتي والتصيّد الإلكتروني لموظفي مركز الاتصال لديه، اكتشفت شركة مالية أميركية كبرى عدة فجوات أمنية في وعي الموظفين بالأمن السيبراني ومدى الالتزام بعمليات التحقق من الهوية. وبعد محاكاة هجمات التصيّد الإلكتروني التي استهدفت نحو 200 عنوان بريد إلكتروني و150 مكالمة تصيّد صوتي، حصل العميل على تقرير مُفصَّل عن الثغرات المكتشفة والمخاطر التي تشكّلها على أنظمته وبيانات عملائه. وتضمن التقرير أيضًا توصيات علاجية لمساعدة الشركة على تعزيز استراتيجيتها للأمن السيبراني ورفع مستوى الوعي الأمني لدى موظفي مراكز الاتصال.

لم يتم الكشف عن أي بيانات حساسة لعملاء ماليين حقيقيين أثناء المحاكاة، كما لم يؤدِ الاختبار إلى تعطيل العمليات الاعتيادية لمركز الاتصال.

نتيجةً لرضا العميل عن نهجنا الشامل في اختبار الأمن السيبراني، يخطط للاستعانة بساينس سوفت مرة أخرى في مشروعات أمنية مستقبلية.